Identyfikacja użytkowników na podstawie historii odwiedzin w przeglądarce

Pracownicy firmy Mozilla opublikowali wyniki badań dotyczących możliwości identyfikacji użytkowników na podstawie profilu odwiedzin w przeglądarce, które mogą być widoczne dla osób trzecich i stron internetowych. Analiza 52 tysięcy profili odwiedzin, dostarczonych przez użytkowników Firefox, którzy wzięli udział w eksperymencie, wykazała, że preferencje w odwiedzaniu stron są charakterystyczne dla każdego użytkownika i są trwałe. Unikalność uzyskanych profili historii odwiedzin wyniosła 99%. Wysoki stopień unikalności profili utrzymuje się nawet przy ograniczeniu próby do zaledwie setki popularnych stron.

Badanie możliwości ponownej identyfikacji przeprowadzono w trakcie dwutygodniowego eksperymentu — dane o odwiedzinach z pierwszego tygodnia próbowano zestawić z danymi z drugiego tygodnia. Okazało się, że można ponownie zidentyfikować 50% użytkowników, którzy odwiedzili 50 lub więcej różnych domen. Przy odwiedzeniu 150 i więcej różnych domen zasięg ponownej identyfikacji wzrastał do 80%. Kontrola była przeprowadzana na próbie 10 tysięcy stron internetowych w celu symulacji danych, które mogą pozyskać dużym dostawcy treści (na przykład, Google może kontrolować odwiedziny do 9823 stron z tych 10000, Facebook do 7348, Verizon do 5500).

Taka cecha pozwala dużym właścicielom popularnych zasobów z dużym prawdopodobieństwem identyfikować użytkowników. Na przykład firmy Google, Facebook i Twitter, których widżety są umieszczane na stronach zewnętrznych, teoretycznie mogą ponownie identyfikować około 80% użytkowników.

Określenie wcześniej otwartych stron można również przeprowadzić metodami pośrednimi, na przykład poprzez перебор w kodzie JavaScript popularnych domen z oceną różnicy opóźnień przy ładowaniu zasobów — jeśli strona była niedawno otwarta przez użytkownika, zasób będzie wydany z pamięci podręcznej przeglądarki niemal natychmiast. Wcześniej do identyfikacji otwartych stron mogły być stosowane ocena cache'owania ustawień HSTS (przy otwieraniu strony z HSTS, żądanie HTTP od razu było przekierowywane na HTTPS bez próby połączenia przez HTTP) oraz analiza stany właściwości CSS „visited”.

Podobne metody określania historii odwiedzin na podstawie CSS wykorzystywano w podobnym badaniu, prowadzonej w latach 2009-2011. Badanie wykazało, że 42% użytkowników można zidentyfikować przy sprawdzaniu 50 stron i 70% przy sprawdzaniu 500 stron. Badanie przeprowadzone przez Mozilla potwierdziło i doprecyzowało wnioski z poprzedniej publikacji, przy czym znacznie zwiększona została dokładność określania historii odwiedzin, a zakres sprawdzanych domen wzrósł z 6000 do 10000 (łącznie zebrano dane o 660000 domenach, ale do oceny identyfikacji wykorzystano próbkę 10 tysięcy najpopularniejszych domen).

Źródło: opennet.ru